RGPD, CNIL et IA : Comment Rester Conforme en Utilisant des LLM avec des Documents Commerciaux

3 avril 2026

Les entreprises en France, en Belgique, en Suisse, au Québec et dans toute la francophonie adoptent rapidement les grands modèles de langage (LLM) pour la revue de contrats, la due diligence, le résumé de documents et la rédaction. Les gains de productivité sont réels, mais l'exposition réglementaire aussi. Chaque fois qu'un document commercial contenant des données personnelles entre dans un service d'IA, un réseau complexe d'obligations s'active au titre du RGPD, de la Loi Informatique et Libertés, de la doctrine de la CNIL et des standards déontologiques professionnels applicables.

Ce guide expose certaines de ces obligations, où résident les risques pratiques, et comment CamoText International, avec son traitement entièrement hors ligne, sa révision humaine intégrée et sa suppression automatique des métadonnées, peut aider les organisations à réduire leur exposition et renforcer leur conformité.

1. Le Paysage Réglementaire : Ce Qui S'applique Quand Vous Utilisez l'IA

RGPD (Règlement Général sur la Protection des Données de l'UE)

Le RGPD s'applique dès qu'une organisation traite des données personnelles de personnes situées dans l'Espace économique européen, indépendamment du lieu d'établissement de l'organisation.¹ Les « données personnelles » sont définies largement : elles couvrent toute information relative à une personne physique identifiée ou identifiable. Noms, adresses e-mail et numéros d'identification sont des exemples évidents, mais la définition s'étend à tout élément susceptible d'identifier quelqu'un directement ou indirectement — des fonctions combinées à des noms d'entreprises, des adresses IP, et même des formules distinctives dans une clause contractuelle.²

Quand vous introduisez un accord commercial dans ChatGPT, Claude ou tout autre LLM dans le cloud, et que cet accord contient des données personnelles, vous pouvez effectuer un traitement de ces données au sens du RGPD. Ce traitement exige une base juridique au titre de l'article 6, et dans la plupart des contextes commerciaux, cette base sera l'intérêt légitime (qui exige une mise en balance documentée) ou la nécessité contractuelle.³ Vous devez en outre respecter le principe de minimisation des données de l'article 5(1)(c) : ne traiter que ce qui est adéquat, pertinent et limité à ce qui est nécessaire à la finalité poursuivie.⁴

La Loi Informatique et Libertés et la CNIL (France)

La loi n° 78-17 du 6 janvier 1978, dite Loi Informatique et Libertés, complète et adapte le RGPD dans l'ordre juridique français. La Commission nationale de l'informatique et des libertés (CNIL) agit comme autorité de contrôle et a été particulièrement active dans l'encadrement de l'usage de l'IA avec des données personnelles.

La CNIL a publié une série de recommandations et fiches pratiques sur l'IA, couvrant la constitution de bases de données d'entraînement, la base juridique de l'intérêt légitime, l'information des personnes et la sécurité du développement des systèmes d'IA.⁵ Elle recommande notamment la minimisation à la source : ne faire entrer dans un système d'IA que les données strictement nécessaires, et privilégier l'anonymisation ou la pseudonymisation en amont chaque fois que possible.⁶

La CNIL accompagne également les entreprises françaises dans la préparation du règlement européen sur l'IA, dont les obligations pour les systèmes à haut risque entrent pleinement en vigueur le 2 août 2026, avec des amendes pouvant atteindre 35 millions d'euros ou 7 % du chiffre d'affaires mondial.⁷

Le Règlement Européen sur l'IA (AI Act)

Le règlement européen sur l'IA opère en parallèle du RGPD, sans le remplacer.⁸ Quand un système d'IA traite des données personnelles, les deux cadres s'appliquent simultanément. L'AI Act ajoute ses propres exigences de transparence (divulgation des interactions avec l'IA), de supervision humaine obligatoire et de documentation technique. La conséquence pratique est claire : la conformité au RGPD ne suffit plus à elle seule — l'AI Act superpose des responsabilités supplémentaires.⁹

Autres Juridictions Francophones

Belgique : l'APD

L'Autorité de protection des données (APD) veille à l'application du RGPD en Belgique, complété par la loi du 30 juillet 2018. Pour les entreprises belges qui utilisent des LLM avec des documents commerciaux, les obligations sont celles du RGPD : base juridique, minimisation, accord de sous-traitance avec le fournisseur d'IA et encadrement des transferts internationaux.¹⁰

Suisse : la nLPD

La nouvelle loi fédérale sur la protection des données (nLPD), en vigueur depuis septembre 2023, régit le traitement des données personnelles en Suisse sous la surveillance du Préposé fédéral à la protection des données et à la transparence (PFPDT).¹¹ Envoyer des données personnelles à un service d'IA dans le cloud constitue une communication à un tiers, potentiellement à l'étranger, qui doit respecter les exigences de la nLPD en matière de communication transfrontière.

Québec : la Loi 25

Au Québec, la Loi 25 a modernisé le régime de protection des renseignements personnels et impose notamment des évaluations des facteurs relatifs à la vie privée (EFVP) avant de communiquer des renseignements personnels hors du Québec — ce qui inclut la plupart des services d'IA dans le cloud.¹² La Commission d'accès à l'information (CAI) en surveille l'application, avec des sanctions pouvant atteindre 25 millions de dollars ou 4 % du chiffre d'affaires mondial.

2. Ce Qui Arrive Réellement à Vos Données dans un LLM

Envoyer du texte à un LLM peut faire apparaître et persister des données personnelles en de multiples points :¹⁶

• Journaux de prompts : la plupart des services LLM stockent le contenu complet des conversations par défaut, à des fins de débogage, de détection d'abus ou d'amélioration du modèle. Même les niveaux « enterprise » traitent généralement les données sur une infrastructure tierce.
• Pipelines d'entraînement : sauf exclusion explicite (et certains services se réservent le droit de changer leurs politiques), les entrées peuvent servir à entraîner de futures versions du modèle.
• Métadonnées de documents : les propriétés du fichier (noms d'auteurs, noms d'organisations, historique des révisions, chemins de fichiers, horodatages) voyagent avec les documents téléversés et sont traitées sur le serveur, même en mode privé ou incognito.¹⁷
• Métadonnées d'interaction : les horodatages des requêtes, la durée des sessions, les schémas de révision des prompts et les signaux comportementaux peuvent constituer des données personnelles en soi et révéler des informations sensibles sur les intentions de l'utilisateur.¹⁸

Au titre du RGPD, chacun de ces éléments génère des obligations de traitement : une base juridique, des registres d'activités de traitement, des procédures pour les demandes d'accès des personnes concernées, des droits d'effacement et des protocoles de notification des violations.¹⁶ L'action de l'autorité italienne de protection des données contre OpenAI en 2024 — pour absence de base juridique, manques de transparence et absence de vérification de l'âge — a montré que les régulateurs européens examinent activement ces questions.¹⁹

3. Pourquoi l'Anonymisation Est la Position de Conformité la Plus Solide

Le considérant 26 du RGPD trace une ligne critique : les données rendues véritablement anonymes — de sorte que « la personne concernée n'est pas ou plus identifiable » — sortent complètement du champ d'application du règlement.¹ Aucune base juridique n'est requise. Aucune obligation d'accès ne s'applique. Aucune restriction de transfert international n'entre en jeu. Les données anonymisées ne sont tout simplement pas des données personnelles au sens du RGPD.

Les données pseudonymisées, en revanche, restent des données personnelles au titre du RGPD. Les lignes directrices 01/2025 du CEPD (Comité européen de la protection des données) sur la pseudonymisation ont renforcé cette position, en précisant que la substitution par tokens, le chiffrement et le hachage produisent des données pseudonymisées (non anonymes), et que l'organisation détenant la clé de ré-identification demeure responsable du traitement.²⁰ Même le hachage de données à faible entropie (noms et identifiants courants) peut être vulnérable aux attaques par dictionnaire.²⁰

L'implication pratique est directe : si vous pouvez supprimer ou masquer irréversiblement les données personnelles avant qu'elles n'atteignent un service d'IA, vous éliminez à la source les obligations les plus lourdes du RGPD. Comme nous l'avons exploré en profondeur dans notre guide Utilisez Claude Cowork avec Anonymisation, l'anonymisation des données peut préserver à la fois la confidentialité et l'efficacité de l'IA grâce à des balises hash catégorisées et personnalisées.

4. Déontologie Professionnelle et Confidentialité

La législation sur la protection des données n'est qu'une couche d'obligations. Les professionnels de nombreux secteurs, comme le juridique, la finance et la santé, sont tenus par des devoirs de confidentialité supplémentaires qui vont au-delà du RGPD.

Avocats en France

Le Règlement Intérieur National (RIN) de la profession d'avocat et l'article 66-5 de la loi du 31 décembre 1971 établissent le secret professionnel comme une obligation générale, absolue et illimitée dans le temps. Ce devoir couvre toutes les informations dont l'avocat a connaissance dans l'exercice de sa profession. Introduire des documents couverts par le secret dans des systèmes d'IA externes peut constituer une violation du secret professionnel si l'information est exposée à des tiers — et les fournisseurs d'IA, leurs sous-traitants et leurs systèmes de journalisation sont des tiers à cet égard.

Le Conseil national des barreaux a souligné que les garanties contractuelles du fournisseur ne suffisent pas à elles seules : l'avocat ne peut pas déléguer sa conformité déontologique aux promesses d'un tiers.⁵

Avocats en Belgique et en Suisse

En Belgique, le secret professionnel de l'avocat est protégé par l'article 458 du Code pénal ; en Suisse, par l'article 321 du Code pénal et la loi sur les avocats (LLCA). Dans les deux cas, la divulgation non autorisée d'informations de clients peut avoir des conséquences pénales et disciplinaires. Quand un avocat introduit des documents de clients dans un service d'IA dans le cloud, il permet à un tiers d'accéder à des informations protégées par le secret professionnel.

Avocats au Québec

Le Code de déontologie des avocats du Québec et l'article 9 de la Charte des droits et libertés de la personne consacrent le secret professionnel. La Loi 25 renforce cette protection en exigeant des évaluations préalables et des garanties contractuelles pour toute communication de renseignements personnels à des tiers, ce qui inclut les fournisseurs de services d'IA traitant le contenu des documents téléversés.

Autres Professions Réglementées

Des obligations similaires s'appliquent à toutes les professions réglementées. Les établissements financiers sont soumis à des règles de conduite et au secret bancaire. Les professionnels de santé sont tenus par la réglementation sur les données de santé. Les auditeurs et experts-comptables doivent protéger les informations de leurs clients conformément à leurs codes déontologiques. Dans tous les cas, le principe est le même : les garanties du fournisseur ne remplacent pas le devoir de diligence du professionnel.

5. Carte des Risques : Ce Qui Se Passe Sans Prétraitement

6. Comment CamoText International Répond à Chaque Préoccupation de Conformité

Traitement Entièrement Hors Ligne

CamoText International s'exécute intégralement sur votre machine locale. Il ne nécessite aucune connexion internet ; aucune donnée n'est transmise à aucun serveur à aucun moment. Nul besoin de dépendre de la politique du fournisseur ni de garanties contractuelles ; c'est une garantie architecturale de CamoText. Si les données ne quittent jamais votre appareil, il n'y a pas de traitement par des tiers dont se soucier, pas d'évaluation de transfert international requise et aucun risque qu'un changement de politique du fournisseur cloud n'affecte votre posture de conformité.²¹

Gérer la confidentialité localement avant de transmettre des données transforme la question de « à quel service d'IA puis-je faire confiance ? » en « quel service d'IA me donne les meilleurs résultats ? » — parce que la confidentialité a déjà été réglée à la source.

Révision Humaine Intégrée

La détection automatisée de données personnelles, aussi sophistiquée soit-elle, ne peut pas couvrir toute sensibilité dépendante du contexte. Un nom de notoriété publique dans un contexte peut être confidentiel dans un autre. Un nom de code de projet peut ne rien signifier pour un étranger mais révéler une acquisition en cours à un initié. L'interface de l'application CamoText International offre une étape de révision native où l'utilisateur peut :

• Vérifier chaque détection automatisée avant de générer la sortie
• Surligner manuellement des termes supplémentaires à anonymiser
• Rétablir les faux positifs en un seul clic
• Configurer des termes prioritaires et des réglages par catégorie

Cela s’aligne directement sur les recommandations de la CNIL en matière d’IA, qui préconisent des contrôles de supervision humaine et la minimisation à la source.⁵ En anonymisant localement avant l’interaction avec l’IA, on évite que le système combine l’accès à des informations sensibles avec le traitement d’entrées non contrôlées.⁶

Suppression Automatique des Métadonnées

Les métadonnées des documents sont souvent le risque de confidentialité oublié. Noms d'auteurs, noms d'organisations, historique des révisions, chemins de fichiers et horodatages incorporés dans les fichiers DOCX, PDF et RTF constituent des données personnelles ou des informations commercialement sensibles au titre du RGPD.¹⁷ CamoText International supprime ces métadonnées automatiquement pendant le traitement, comblant une faille que le caviardage centré sur le seul contenu laisserait ouverte.

Désanonymisation pour Usage Interne

Dans beaucoup de flux de travail commerciaux, l'objectif n'est pas de détruire irrévocablement le lien entre le document anonymisé et l'original, mais de contrôler qui peut le restaurer et quand. CamoText International génère une clé de désanonymisation locale qui associe chaque balise anonymisée à sa valeur originale. Cette clé ne quitte jamais votre appareil sauf si vous décidez de la partager. Les organisations peuvent utiliser la version anonymisée pour l'analyse par IA puis restaurer les identifiants en interne pour le produit final, obtenant les bénéfices opérationnels de la pseudonymisation tout en gardant la clé sous leur propre contrôle.²²

Traitement par Lot et Formats Multiples

Les flux de travail commerciaux impliquent rarement un seul document. CamoText International prend en charge le traitement par lot, ce qui permet d'anonymiser systématiquement un ensemble complet de contrats avant toute interaction avec l'IA.

7. Liste de Contrôle Pratique de Conformité

Pour les organisations en France, en Belgique, en Suisse, au Québec et dans l'UE qui souhaitent utiliser l'IA avec des documents commerciaux tout en gérant leurs obligations de protection des données :

1. Réalisez une AIPD avant de déployer des flux de travail avec IA. L'article 35 du RGPD la rend obligatoire pour les traitements susceptibles d'engendrer un risque élevé pour les droits des personnes. L'analyse par IA de documents commerciaux contenant des données personnelles atteindra presque toujours ce seuil.³
2. Anonymisez à la source. Supprimez les données personnelles et les métadonnées des documents avant qu'ils n'entrent dans tout service d'IA externe. Les données véritablement anonymisées (un standard mieux atteint avec une révision humaine intégrée) sortent complètement du champ du RGPD, éliminant le besoin de base juridique, d'évaluation de transfert international ou de procédures de demandes d'accès pour ces données.
3. Utilisez des outils hors ligne. Les outils d'anonymisation basés sur le cloud introduisent les mêmes risques de traitement par des tiers que vous cherchez à éviter. Comme détaillé dans notre comparatif d'outils d'anonymisation, seules les solutions entièrement hors ligne comme CamoText International garantissent que vos données ne quittent jamais votre contrôle.
4. Mettez en place la révision humaine. La détection automatisée est un point de départ, pas un point final. Les sensibilités dépendantes du contexte — secrets d'affaires, noms de code de projets, termes commercialement significatifs — exigent un jugement humain. Intégrez la révision dans le flux de travail, pas comme une réflexion après coup.²³
5. Documentez votre processus. Consignez quelles catégories de données sont détectées, quelles étapes de révision ont été effectuées et quelle configuration a été utilisée. Ces preuves soutiennent la responsabilité proactive au titre de l'article 5(2) du RGPD et démontrent la conformité auprès des régulateurs, des clients et des ordres professionnels.
6. Traitez les métadonnées explicitement. Incluez la suppression des métadonnées dans vos procédures de protection des données. Beaucoup d'organisations se concentrent sur le contenu du document mais négligent les propriétés du fichier qui peuvent identifier les auteurs, les organisations et les historiques d'édition.¹⁷
7. Formez votre équipe. L'« IA fantôme » (des employés utilisant des outils d'IA publics sans autorisation pour accélérer leur travail) est un risque réel et croissant. Les politiques d'interdiction seules sont inefficaces ; fournir des outils de confidentialité approuvés, faciles à utiliser, et des flux de travail clairs est bien plus pratique.
8. Revoyez périodiquement les conditions du fournisseur. Les politiques des fournisseurs d'IA changent. Même si vous faites aujourd'hui confiance aux engagements de confidentialité d'un fournisseur, ces engagements peuvent être réduits ou supprimés unilatéralement. Une approche de confidentialité d'abord qui gère la protection des données localement vous isole de ces changements.

Conclusion

Le paysage réglementaire de l'usage de l'IA avec des documents commerciaux en France, en Belgique, en Suisse, au Québec et dans l'UE est substantiel et en pleine croissance. Le RGPD, la Loi Informatique et Libertés, le règlement européen sur l'IA, la nLPD, la Loi 25, la doctrine de la CNIL et les règles déontologiques imposent des obligations superposées aux organisations qui traitent des données personnelles via des services d'IA. Les sanctions sont significatives : jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial au titre du RGPD, et jusqu'à 35 millions d'euros ou 7 % au titre de l'AI Act — mais le préjudice réputationnel d'une violation de confidentialité ou du secret professionnel peut être pire encore.

La mitigation la plus efficace est aussi la plus simple dans son principe : supprimer les données personnelles avant qu'elles n'atteignent le service d'IA. Si les données sont véritablement anonymisées, le RGPD ne s'y applique pas. Si les métadonnées sont supprimées, les identifiants cachés ne peuvent pas fuiter. Si l'outil d'anonymisation lui-même fonctionne hors ligne, il n'y a aucun traitement par des tiers à comptabiliser.

CamoText International a été construit exactement pour ce flux de travail. Son architecture hors ligne, sa révision humaine intégrée, sa suppression automatique des métadonnées et sa clé de désanonymisation locale offrent aux organisations un chemin pratique et auditable pour utiliser des outils d'IA puissants sans compromettre la protection des données ni les obligations professionnelles. Son coût unique, sans frais récurrents ni dépendance à un abonnement, en fait aussi l'approche la plus économique comparée aux alternatives cloud facturées à l'usage qui introduisent précisément les risques de tiers que l'on cherche à gérer.²¹

La confidentialité et la productivité avec l'IA ne sont pas des objectifs opposés. Avec l'étape de prétraitement appropriée, elles se renforcent mutuellement.